Die Windows-Registry ist eine hierarchische Datenbank, in der Windows und Anwendungen Konfigurationseinstellungen für System, Hardware, Software und Benutzerkonten speichern.
Wie die Windows-Registry funktioniert
Die Registry ist in Schlüssel und Werte gegliedert, ähnlich wie Ordner und Dateien. Zu den wichtigsten Stammschlüsseln gehören HKEY_LOCAL_MACHINE (HKLM) für systemweite Einstellungen und HKEY_CURRENT_USER (HKCU) für den angemeldeten Benutzer. Auf der Festplatte liegen die Daten in Hive-Dateien: SAM, SYSTEM, SOFTWARE und SECURITY unter %SystemRoot%\System32\config sowie NTUSER.DAT in jedem Benutzerprofil. Administratoren bearbeiten sie mit dem Registrierungs-Editor (regedit), dem Befehl reg oder PowerShell.
Warum die Registry für die Sicherheit wichtig ist
Da die Registry bestimmt, was Windows startet und wie es sich verhält, wird sie von Angreifern ständig missbraucht:
- Persistenz – Einträge in den Schlüsseln Run und RunOnce oder registrierte Dienste sorgen dafür, dass Malware bei jedem Start geladen wird (MITRE ATT&CK T1547.001). Das ist eine der häufigsten Formen der Persistenz.
- Dateilose Speicherung – Familien wie Poweliks und Kovter versteckten ihren Code in Registry-Werten statt in Dateien, eine klassische Technik dateiloser Malware.
- Schwächung der Abwehr – Ändern von Werten, um Microsoft Defender, die Benutzerkontensteuerung oder die Protokollierung abzuschalten (T1112, Modify Registry).
- Diebstahl von Zugangsdaten – das Sichern der Hives SAM und SYSTEM (T1003.002) liefert lokale Passwort-Hashes für Pass-the-Hash-Angriffe.
Für Forensiker ist die Registry eine ergiebige Quelle von Artefakten: zuletzt ausgeführte Programme, angeschlossene USB-Geräte und Benutzeraktivitäten.
So schützen Sie die Registry
- Administratorrechte begrenzen, damit normale Benutzer und Malware HKLM nicht ändern können.
- Autostart-Schlüssel mit Sysmon (Ereignis-IDs 12–14) oder EDR überwachen und mit Werkzeugen wie Autoruns prüfen.
- Den Manipulationsschutz aktivieren, damit Malware keine Sicherheitseinstellungen ändern kann.
